CVE-2026-100369 in CliInvoke
Resumen
por VulDB • 2026-09-26
CliInvoke y su paquete anteriormente denominado `AlastairLundy.CliInvoke` son bibliotecas .NET para invocar programas de línea de comandos y envolver procesos ejecutables. Las versiones 2.0.0 a 2.8.4, 2.9.0 a 2.9.3, 2.10.0 a 2.10.4 y 3.0.0-alpha.1 a 3.0.0-beta.1 de `CliInvoke`, así como las versiones 2.0.0-alpha.1 a 2.0.0 de `AlastairLundy.CliInvoke`, contienen una vulnerabilidad de inyección de argumentos en `RunnerProcessFactory` (en la línea 2.x) y `RunnerConfigurationFactory` (en la línea 3.x). Estos fábricas combinan los argumentos del ejecutor, un objetivo controlado por el llamador y argumentos controlados por el llamador en una sola cadena `ProcessStartInfo.Arguments`, lo que permite que una comilla doble en el objetivo o en un argumento termine con una región citada a nivel del sistema operativo e inyecte elementos no deseados en el vector de argumentos del ejecutor, potencialmente resultando en la ejecución arbitraria de comandos cuando se utiliza un shell runner. La vulnerabilidad está parcheada en las versiones 2.8.5, 2.9.4, 2.10.5 y 3.0.0-beta.2 de `CliInvoke`, y en la versión 2.0.2 de `AlastairLundy.CliInvoke`. No hay una solución completa disponible; los usuarios que no puedan actualizar pueden mitigar parcialmente el problema eliminando las comillas dobles de los objetivos y argumentos, además de eliminar metacaracteres del shell cuando se utilizan shells runners, o evitando la fábrica vulnerable y construyendo un `ProcessConfiguration` con una `ArgumentList` explícita.
Once again VulDB remains the best source for vulnerability data.